Авария разгонного блока Centaur в 1999 году

http://sunnyday.mit.edu/accidents/titan_1999_rpt.doc:

30 апреля 1999 года в 12:30 со стартового комплекса LC40 на мысе Канаверал была запущена ракета-носитель Titan IV B-32 в конфигурации с разгонным блоком Titan Centaur (TC-14), которая должна была вывести спутник Milstar на геостационарную орбиту. Твердотопливные ускорители и первые две ступени отработали номинально. Centaur отделился от ракеты-носителя через 9 минут 12 секунд после запуска. Во время первого включения двигателя разгонный блок начал испытывать сложности с ориентацией по крену. При втором включении двигателя амплитуда колебаний значительно возросла, усиленная нестабильностью по рысканию и тангажу, что в конечном итоге привело к потере ориентации. Пытаясь бороться с потерей ориентации, Centaur в результате выработал все наличное топливо двигателей ориентации. Третье включение двигателя было досрочно прервано из-за потери ориентации. В результате возникших аномалий, спутник Milstar был выведен на низкую эллиптическую орбиту, вместо запланированной геостацонтарной.

Комиссия по расследованию инцидента на основании ясных и убедительных доказательств пришла к заключению, что причиной аварии стали недостатки процесса разработки, тестирования и подтрерждения качества программного обеспечения разгонного блока Centaur. В процессе разработки не была обнаружена и исправлена человеческая ошибка ручного ввода константы I1(25) фильтра угловой скорости по крену (часть инерционной измерительной системы). Значение константы должно было быть введено как «–1.992476», вместо которого было введено значение «–0.1992476». Аномалии, вызванные некоректным значением константы I1(25), были замечены в процессе подготовки к запуску и во время финального отсчета, однако степень их опасности не была правильно понята и оценена, в следствие чего ошибка не была исправлена до запуска. Неверное значение константы приводило к обнулению данных в канале угловой скорости по крену. Это привело к потере управления по крену, что затем вызвало потерю управления по рысканию и тангажу. Утрата управляемости вызвала чрезмерное частую корректировку положения аппарата двигателями ориентации и перерасход гидразина. Неуправляемый полет во время работы главного двигателя разгонного блока не позволил Centaur достигнуть запланированной орбиты. Отделение спутника Milstar произошло на слишком низкой окончательной орбите. Действующий секретать ВВС заявил о полной потере спутника 4 мая 1999 после нескольких дней попыток спасения спутника силами служащих ВВС и персонала Lockheed Martin Astronautics (LMA) на авиабазе ВВС Schriever, штат Колорадо.

Избранные цитаты (хотя там весь документ на одном дыхании читается):

Разработанная и утвержденная независимая программа контроля и проверки не контролировала и не проверяла константы фильтра I1, использовавшиеся в полете.

Не существовало формального процесса проверки правильности констант фильтра I1 и корректности угловых отклонений после загрузки полетной ленты в инерционную систему навигации перед запуском.

Отсутсвие прямого контакта и неудовлетворительные комменикации между ответственными участниками процесса помешали исправлению проблемы, выявленной при тестировании на мысе Канаверал.

Неправильно введенная константа была одной из сорока констант в файле I1.

Группа Control Dynamics послала [бумажный] документ, описывающий первую часть констант I1, группе Flight Software, ответственной за сбор всех констант примерно 23 декабря 1997 года. В документе указывалось, что оставшиеся 10 констант будут позже предоставлены группой Avionics. В документе также содержался путь и имя файла, содержавшего электронную версию первых 30 констант. Документ не содержал никаких инструкций по использованию бумажной и электронной версии констант.

Инженеру из группы Flight Software не удалось открыть файл указанный в документе, так как прошло больше года и файл с заданным именем больше не существовал. Инженер воспользовался другим файлом, в котором нужно было поменять только пять значений и ошибся при вводе экспоненты одного из значений.

Проверка констант I1 проводилась визуальным сравнением распечатки с полетной ленты и распечатки документа подготовленного ранее группой Control Dynamics. Форматы значений с плавающей запятой в двух документах были различны.

Полентая лента отправленная для тестированя на стенде LMA Flight Analogous Software Test (FAST) не содержала констант инерциальной навигационной системы, так в тестах вмесно «полетных» использовались значения-заглушки. При создании стенда в него закладывалась возможность использования полетных констант, однако эта возможность не была известна операторам стенда.

В отчете, посланном в Analex-Cleveland для проверки дизайна автопилота, были указаны изначальные правильные значения констант I1, вместо констант с полетной ленты.

Полетная лента, посланная в Analex-Denver, была проверена на выход за границы диапазона. Константа I1(25) прошла проверку, поскольку попала в допустимый диапазон.

Заниженное значения в канале крена было замечено после загрузки нового программного обеспечения в полетное оборудование 14 апреля 1999 года. Инженеры пришли к выводу, что это изменение – ожидаемое следствие перехода на новую версию программного обеспечения [предыдущий запуск был рассчитан на другую полезную нагрузку].